Claudeが社員の本人証明を発行　Supabaseへの接続を管理者の承認1回で

Supabaseは、Claudeが社員の本人証明を発行し、管理者の承認1回で社員全員のClaudeからSupabaseにつなげる仕組みを出した。認証の基盤が対応していない会社でも使える。一方、基盤で社員を止めても接続は切れなくなる。

記事の内容を自社でどう進めるか、内容が固まっていない段階でも相談できます。仕事の相談

毎週 1 回、その週の記事から 5 本と実践の 1 本を選んでメールで届けます。ニュースレターを購読する（無料）

認証の基盤が対応していなくても使える

ClaudeがSupabaseのような外部のサービスを使う時は、MCPという道具をつなぐ決まりを使う。既定では、社員一人ずつが自分のSupabaseのアカウントでサインインし、同意の画面でClaudeを認める。

ブログによると、Supabaseは8月に、管理者の承認1回でこれを置き換える「会社で管理する認証」を出していた。ただ、その時に必要な拡張に対応した認証の基盤はOktaだけで、今もほとんどが対応していない。今回はClaudeが証明を出す役を引き受けるので、ほかの基盤を使う会社も待たずに使える。基盤の側は何も変えなくてよい。

使えるのは、SupabaseではSSO（社内の共通のログイン）を設定したTeamとEnterpriseの組織だ。Claudeの側は、TeamとEnterpriseの組織向けの自動接続のベータで、Claudeの管理者なら誰でも有効にできる。

両方の側で身元を確かめる

社員がClaudeからSupabaseを使うと、Claudeは短い時間だけ有効で、Supabaseにしか使えない署名つきの証明を作る。作る前にClaudeが確かめるのは、その人が今もClaudeの組織の一員かどうかと、Claudeのアカウントのメールアドレスの2点だけだ。認証の基盤でのサインインや、多要素認証、Supabase自身のサインインの決まりは確かめないとブログは書いている。

証明を受けたSupabaseは、署名が登録した発行元と合うか、その人が同じSSOの身元で組織にいるか、管理者がClaudeを認めたかの3点を確かめる。通れば、その人だけに結び付いた短い時間の鍵を出す。鍵が切れるとClaudeが新しい証明を出すので、社員が手でつなぎ直すことはない。

社員を止める手順が変わる

切り替える前に知っておきたい点が2つある。1つは、社員が辞めた時などの止め方だ。ClaudeもSupabaseも認証の基盤に問い合わせないので、基盤で社員を無効にしても接続は切れない。止めるには、SupabaseとClaudeの両方の組織からその人を外す必要があり、すでに出た鍵は期限まで使える。

もう1つは、発行元が1つに限られることだ。SupabaseはSSOの基盤ごとに発行元を1つしか信じないので、ClaudeのURLを登録すると、今の基盤が出す証明は元に戻すまで全部断られる。同じ基盤で認証していたほかのAIの道具も含まれる。

設定は、SSOがすでにあれば10分ほどで済むという。手順は、Supabaseの管理者がClaudeを承認し、Claudeの管理画面で発行元のURLを写し、SupabaseのSSOの設定に貼ってから、Claudeで試験を流して有効にする流れだ。その後の手順で、自動でつなぐClaudeの役割を選ぶ。前提として、社員はClaudeと同じメールアドレスで、SSOを通して一度はSupabaseにサインインしておく必要がある。合うアカウントが無い社員には、これまでどおりの接続の画面が出る。管理者の承認は、Supabaseの組織の設定にある「Authorized apps」に並び、そこで見直したり取り消したりできる。

編集部の見方

Claudeを社内で広く使い、データの置き場にSupabaseを選んでいるチームには、手間を大きく減らせる話だ。ただし、社員を止める時に基盤の操作だけでは足りなくなる。入れる前に、退職や異動の時にSupabaseとClaudeの両方から外す手順を決め、同じ基盤で認証しているほかのAIの道具が無いかを確かめてから切り替えたい。